Computação
AWS obtém primeira aprovação em toda a OTAN para cargas de trabalho em nuvem RESTRICTED
Adicione Securities.io às suas fontes preferidas no Google
A Amazon Web Services é a primeira provedora de nuvem a ter suas capacidades de nuvem aprovadas para uso por todas as nações membros da OTAN ao lidar com informações no nível NATO RESTRICTED (NR), a empresa anunciou em 22 de setembro de 2026.
A OTAN, seus parceiros da indústria de defesa e todas as nações membros da OTAN agora podem usar os serviços AWS aprovados para lidar com cargas de trabalho NATO RESTRICTED em qualquer região da AWS localizada em uma nação membro da OTAN. Atualmente, a AWS possui 15 regiões em nações membros da OTAN, sete das quais estão situadas na Europa continental.
Processo de Aprovação sob a Diretriz D32 da OTAN
Para obter a aprovação, a AWS documentou sua conformidade com a D32, a diretiva técnica da OTAN que estabelece os requisitos de segurança para o tratamento de informações NR na nuvem pública. Como parte do processo, as capacidades da AWS foram avaliadas pelo Centro Criptográfico Nacional da Espanha (CCN), e a OTAN as aprovou e publicou para todos os aliados da OTAN.
Para a acreditação NR, a OTAN delega o processo a uma nação membro da OTAN e/ou à Agência de Comunicações e Informação da OTAN (NCIA) como nação anfitriã da OTAN. Os serviços da AWS agora podem ser usados ao construir sistemas compatíveis com NR em qualquer região da AWS localizada em uma nação membro da OTAN.
A AWS afirmou que, com a aprovação agora publicada em toda a Aliança, os membros e parceiros da OTAN herdam uma base de segurança comum, pré‑avaliada, que ajudará a reduzir o tempo, o esforço e o custo de atender às obrigações de segurança e conformidade. A empresa disse que os aliados da OTAN também terão um caminho acelerado para credenciar a AWS por meio de seu processo nacional oficial.
Dylan Browne, gerente geral da NCIA, afirmou que fortalecer a capacidade da OTAN de utilizar com segurança tecnologia comercial é fundamental para construir uma Aliança mais resiliente e ágil. “A disponibilidade de produtos comerciais que atendem aos requisitos de segurança da OTAN amplia as opções tecnológicas disponíveis para a Aliança e apoia nossa capacidade de adotar tecnologias modernas enquanto mantemos a segurança e a resiliência das quais nossas operações dependem”, disse Browne.
David Appel, vice‑presidente interino do Setor Público Global da AWS, descreveu a aprovação como inédita e “a culminação de um esforço sustentado de vários anos”. Appel afirmou que a decisão reflete o compromisso da AWS em ajudar clientes e parceiros da defesa, do setor público e afiliados à OTAN a alcançar suas missões críticas, e que a AWS continuará trabalhando para fornecer a interoperabilidade que as nações aliadas precisam para fortalecer sua resiliência e proteger seus cidadãos.
Arquitetura Trusted Secure Enclave
A AWS identificou o AWS Trusted Secure Enclave – Sensitive Edition (TSE-SE) como a base do anúncio e direcionou os clientes de segurança nacional e defesa para a arquitetura.
De acordo com as diretrizes publicadas pela AWS, o TSE-SE é um design de múltiplas contas na AWS para cargas de trabalho sensíveis em segurança nacional, defesa e aplicação da lei nacional. As diretrizes abordam identidade e gerenciamento de acesso centralizados, governança, segurança de dados, registro abrangente e design e segmentação de rede.
Nesse design, várias contas da AWS controladas por uma única entidade cliente são agrupadas dentro da AWS Organizations, e as políticas de controle de serviço atuam como limites que negam operações de API específicas ou categorias inteiras em nível de conta, unidade organizacional ou organização. As políticas podem ser usadas para garantir que as cargas de trabalho sejam implantadas somente nas regiões da AWS prescritas ou para negar acesso a serviços específicos da AWS.
O AWS Key Management Service, usando chaves gerenciadas pelo cliente, criptografa dados em repouso com criptografia validada pelo FIPS 140‑2 em serviços de armazenamento, incluindo buckets do Amazon Simple Storage Service, volumes do Amazon Elastic Block Store e bancos de dados do Amazon Relational Database Service, e protege dados em trânsito usando TLS 1.2 ou superior. O login único centralizado é fornecido por meio do IAM Identity Center, com autenticação multifator que suporta aplicativos autenticadores, chaves de segurança e dispositivos WebAuthn, FIDO2 e Universal 2nd Factor (U2F).
A arquitetura prescreve a coleta e centralização abrangentes de logs em todos os serviços e contas da AWS. O AWS CloudTrail opera em toda a organização para fornecer auditoria completa do plano de controle, enquanto o Amazon CloudWatch captura logs do sistema operacional, aplicação, fluxo VPC e do sistema de nomes de domínio, que são centralizados e disponibilizados apenas ao pessoal de segurança definido. Controles de segurança de detecção são ativados em cada conta, incluindo Amazon GuardDuty, AWS Security Hub, AWS Config, AWS Firewall Manager, Amazon Macie, IAM Access Analyzer e alarmes do CloudWatch, com visibilidade delegada a uma única conta central de ferramentas de segurança. A conta de segurança recebe acesso somente de visualização em toda a organização para apoiar a investigação durante um incidente.
O isolamento de rede é construído com nuvens privadas virtuais implantadas por meio do Amazon Virtual Private Cloud (Amazon VPC) e centralizadas em uma conta de rede compartilhada. A conectividade com ambientes on‑premises, saída para a internet, recursos compartilhados e APIs da AWS é mediada em um ponto central através do AWS Transit Gateway, AWS Site‑to‑Site VPN e AWS Direct Connect, quando aplicável. O design envolve cada instância ou componente em um firewall stateful imposto no hardware do AWS Nitro System, impedindo movimentação lateral entre aplicativos, camadas dentro de um aplicativo e nós dentro de uma camada, a menos que explicitamente permitido, e o roteamento entre ambientes de desenvolvimento, teste e produção é bloqueado.
A AWS informou que mais de 15 000 clientes governamentais utilizam seus serviços. A empresa declarou que clientes de segurança nacional e defesa podem acessar o TSE‑SE diretamente, e que esses clientes podem trabalhar com suas equipes de conta da AWS para entender como a aprovação NR e a arquitetura se aplicam aos seus casos de uso.
